Gravity Bridge: Kompromittierung der Signaturschlüssel

Am 30. Mai 2026 wurde Gravity Bridge, die Cosmos-basierte Cross-Chain-Bridge zwischen Cosmos und Ethereum, um etwa 5,4 Millionen US-Dollar erleichtert, nachdem Angreifer offenbar die Validator-Signaturschlüssel kompromittiert hatten, die Transfers autorisieren. Mit genügend gültigen Signaturen in der Hand setzte der Angreifer eine Reihe gefälschter Abhebungen durch, die die Bridge als legitim behandelte.

Was geschah

Gravity Bridge sperrt Token auf Ethereum und prägt gespiegelte Abbilder auf Cosmos, wobei Validator-Signaturen jeden Cross-Chain-Transfer autorisieren. Laut Sicherheitsforschern wie PeckShield wurden die Signaturschlüssel der Bridge offenbar kompromittiert, sodass der Angreifer Abhebungen direkt autorisieren konnte. Die gestohlenen Mittel wurden mit rund 4,3 Millionen USDC, 274 Wrapped Ether (~553.000 USD), etwa 434.000 USDT und 14,16 PAXG (~64.000 USD) angegeben. Der Angreifer begann, einen Teil über ChangeNow und Binance zu waschen, während er einen großen Betrag in ETH weiter hielt.

Folgen

Gravity Bridge bestätigte den Vorfall und legte die Bridge während der Untersuchung still. Zum Zeitpunkt der Berichterstattung blieben die Mittel uneingebracht, während Forscher die Wallets des Angreifers on-chain verfolgten.

Warum es wichtig ist

Der Gravity-Bridge-Drain ist ein weiterer Eintrag im dominierenden Thema von 2026: Bridges und die Verwahrung durch Validator-Sets sind die wertvollste Angriffsfläche in der Krypto-Welt. Wie bei IoTeXs ioTube und der Verus-Ethereum-Bridge war die Schwachstelle kein cleverer Vertragsfehler, sondern die Schlüsselverwahrung — sobald ein Angreifer genügend Signaturschlüssel kontrolliert, validiert die Signaturprüfung einer Bridge betrügerische Abhebungen getreulich. Es bestätigt die Lehre aus Validator- und Admin-Schlüssel-Kompromittierungen im Katalog (Wasabi Protocol, Hyperbridge): Cross-Chain-Infrastruktur ist nur so sicher wie die Schlüssel hinter ihrem Multisig, und Signaturschwellen bieten kaum Schutz, sobald die Unterzeichner selbst kompromittiert sind.